DMARC est un protocole d'authentification des e-mails qui fonctionne au-dessus de SPF et de DKIM pour prévenir l'usurpation d'e-mails et donner aux propriétaires de domaines une visibilité sur les échecs d'authentification. Il vous permet de publier une politique dans DNS qui indique aux serveurs de messagerie destinataires s'il faut rejeter, mettre en quarantaine ou autoriser les messages de votre domaine qui échouent les vérifications d'alignement d'authentification.
Vous publiez une politique DMARC en tant qu'enregistrement TXT à _dmarc.example.com. La politique spécifie l'action à entreprendre (p=reject, p=quarantine ou p=none), où envoyer les rapports agrégés (rua=) et quel pourcentage du courrier la politique s'applique (pct=).
Lorsqu'un message arrive en prétendant provenir de votre domaine, le destinataire vérifie si le domaine visible dans l'en-tête From: s'aligne avec le domaine validé par SPF ou DKIM. Si l'alignement réussit, le message est autorisé. Si l'alignement échoue et que votre politique DMARC est définie sur reject ou quarantine, le serveur destinataire bloque ou marque le courrier comme indésirable. Des rapports vous sont envoyés montrant les résultats d'authentification sur l'internet.
Exemple d'enregistrement DMARC :
_dmarc.example.com TXT "v=DMARC1; p=quarantine; rua=mailto:[email protected]; pct=100"
Ceci indique aux destinataires de mettre en quarantaine les e-mails prétendant provenir de example.com qui échouent la vérification d'alignement d'authentification et d'envoyer des rapports agrégés à l'adresse spécifiée.
WarningDe nombreux domaines publient DMARC avec
p=nonepour surveiller via des rapports, mais n'appliquent jamais l'exécution (p=quarantineoup=reject). Sans exécution, votre domaine reste usurpable. De plus, les expéditeurs tiers (plateformes marketing, redirecteurs) cassent souvent l'alignement SPF/DKIM, donc testez complètement avant d'activer l'exécution.
Utilisez le générateur DMARC pour vous aider à construire votre enregistrement de politique.